DNS 过滤的原理与价值
恶意软件回连、钓鱼站点在通信前通常先做域名解析。在解析环节拦截，可以在连接建立之前阻断通信，对客户端零改造，是边界防护里性价比很高的手段。落地前提是内网 DNS 出口收敛：只要终端还能直连外部解析器，过滤就绕得过去。
基本信息
| 防护对象 | 恶意软件回连域名、钓鱼域名、DGA 域名、DNS 隧道 |
|---|---|
| 部署方式 | 安全网关做 DNS 代理转发并检测，或旁路镜像检测 |
| 联动数据 | 威胁情报域名库，设备内置或订阅，需要定期更新 |
| 前提条件 | 内网 DNS 出口统一收敛到受控解析器 |
典型使用场景
- 终端已中毒回连 C2：在解析阶段拦截，比等到出流量再阻断更早一步
- 钓鱼邮件防护：员工点击链接前先被拦下，降低凭据外泄概率
- DNS 隧道检测：识别超长子域名、异常 TXT 与大流量查询等隐蔽隧道特征
- 合规要求：等级保护场景中的恶意代码防范与域名黑名单管理
- 事件排查：用 DNS 查询日志回溯某终端近期接触过哪些外部域名
落地步骤
落地步骤
1. DHCP 只下发受控 DNS 地址，封掉终端直连外部解析器的出口
2. 在安全网关上配置 DNS 代理或透明转发，查询日志外发到分析平台
3. 订阅威胁情报域名库并确认更新源可达，记录更新失败告警
4. 命中恶意域名时返回拦截提示，同时记录终端、时间与域名
5. 建立误拦申诉与白名单流程，每季度复核一次域名库误报实现方式对比
| 方式 | 特点 | 适用场景 |
|---|---|---|
| DNS 代理 | 流量经过设备，可拦截可改写 | 内网 DNS 出口明确且可收敛 |
| 旁路镜像检测 | 不改动流量，只告警不阻断 | 不宜串接，或先观察阶段 |
| 本地黑名单 | 零成本落地 | 少量高危域名的临时兜底 |
只拦解析并不够：直接使用 IP 地址的恶意通信、DoH/DoT 加密解析都会绕过域名过滤，需要与出向访问策略、流量侧检测配合使用。